Uwierzytelnianie WCF/ASP.NET

Question

Mój scenariusz to aplikacja trójwarstwowa, w której warstwa danych jest bazą danych SQL Server, warstwa środkowa jest aplikacją WCF obsługiwaną w usłudze systemu Windows, a na końcu prezentacja jest aplikacją Asp.Net MVC .

Jak zwykle, warstwa środkowa jest tą, która wykonuje całą logikę biznesową. Dostęp do bazy danych, definiowanie reguł biznesowych .. itd.

Okay, jak na razie tak dobrze! ALE oto pytanie: Jak radzisz sobie z zabezpieczeniami w takim scenariuszu? Chodzi o to, że użytkownik musi zalogować się do aplikacji ASP.NET, ale chcę ją uwierzytelnić nie tylko w ASP, ale także w środkowej warstwie WCF, ponieważ usługa WCF ma być dostępna dla większej liczby aplikacji.

Chcę, aby użytkownik zalogował się w aplikacji Asp.Net i pozwolił WCF znać również poświadczenia. Czy jest jakiś rodzaj sesji w WCF, w której można określić zalogowanego użytkownika?

W jaki sposób profesjonaliści zajmują się bezpieczeństwem w tym przypadku? Wiem, że możesz zabezpieczyć usługi WCF za pomocą zabezpieczenia wiadomości, ale w jaki sposób synchronizacja Asp.Net i WCF dla jednego zalogowanego użytkownika? Chcę zabezpieczyć operacje WCF w zależności od użytkownika w celu uzyskania autoryzacji.

Answer 1

Wygląd here dla nazwy użytkownika Hasło uwierzytelnienia.

ASP.NET Web Site + Windows Forms App + WCF Service: Client Credentials // dla spostrzeżeń

Answer 2

Sugerowałbym patrząc stosując podejście jak HMAC (Hash Message Authentication Code) dla własnego bezpieczeństwa, lub podobnego podejścia opartego symboliczną. Chodzi o to, aby podpisać twoje żądania do twojej warstwy WCF, które mogą być użyte do uwierzytelnienia żądania i zidentyfikowania użytkownika, który złożył wniosek.

Zasadnicze elementy byłyby tokenem i wspólnym sekretem używanym do podpisywania każdego wniosku. Token umożliwia identyfikację użytkownika na końcu WCF i wyszukiwanie wspólnego hasła w celu zweryfikowania żądania. Możesz również dodać sygnatury czasowe/inne, aby zapobiec atakom powtórki i tym podobnym.

Użyłem tego podejścia w przypadku niektórych usług REST zbudowanych na bazie WCF - z dodatkową korzyścią, że klienci nie muszą przechowywać nazw użytkowników i haseł, tylko tokeny bezpieczeństwa używane do komunikacji. W twoim przypadku musisz uporządkować sposób wymiany tokenów między warstwą ASP.NET i warstwą WCF, ale zapewni to ujednoliconą metodę uwierzytelniania dla dowolnego użytkownika twoich usług WCF.